ASA の移行では、次の設定要素がサポートされています。

• ネットワーク オブジェクト

• サービス オブジェクト（Firepower Threat Defense ではポート オブジェクトと呼ばれる）

• アクセス リスト

• NAT ルール

• インターフェイス（例外：冗長、ルーテッド モード BVI、VTI（トンネル インターフェイス））

  （注）	送信元 ASA にポート チャネル インターフェイスがある場合は、 Firepower Management Center でポート チャネル インターフェイスを作成する必要があります。サブインターフェイスは自動的に作成されます。

• 静的ルート（SLA トラックなし、動的ルーティングはサポートされません）

• ルーテッドおよびトランスペアレント ファイアウォール モード

• ネットワークオブジェクトとグループ、ACL、およびルートでサポートされている name コマンドリファレンス

Check Point ファイアウォールの移行では、次の設定要素がサポートされています。

• インターフェイス（物理インターフェイス、VLAN インターフェイス、およびボンドインターフェイス）

• ネットワークオブジェクトおよびグループ

• サービス オブジェクト

• ネットワークアドレス変換（ゲートウェイの背後の自動 NAT ルール、Check Point のセキュリティゲートウェイを持つ手動 NAT、および IPv6 NAT ルールを除く）

• IPv6 変換のサポート（インターフェイス、静的ルート、オブジェクト）。ACL（IPv6 のゾーンベースを除く）および NAT はサポートされていません

• グローバルに適用されるアクセスルールと、グローバル ACL をゾーンベース ACL に変換するためのサポート

• 静的ルート（値 1 以外のプライオリティ設定で設定されたもの、スコープローカルのもの、論理インターフェイスのものを除く）

• 追加のロギングタイプを持つ ACL

PAN ファイアウォールの移行では、次の設定要素がサポートされています。

• ネットワークオブジェクトおよびグループ

• ゾーン（レイヤ 2、レイヤ 3、仮想ワイヤ）

• サービス オブジェクト

• サービス オブジェクト グループ（ネストされたサービス オブジェクト グループを除く）

  （注）	Firepower Management Center ではネストはサポートされていないため、Firepower 移行ツールは参照されるルールの内容を拡張します。ただし、ルールは完全な機能で移行されます。

• IPv4 および IPv6 FQDN オブジェクトとグループ

• IPv6 変換のサポート（インターフェイス、スタティックルート、オブジェクト、ACL）

• アクセス ルール

• NAT ルール

  （注）	サービスに「application-default」が設定されているすべてのポリシーは、「any」として移行されます。FTD には同等の機能がないためです。 変換済み送信元と元の宛先には、「any」オブジェクトがFMC で事前定義されていません。したがって、0.0.0.0/0 を持つ Obj_0.0.0.0 という名前のオブジェクトが作成され、プッシュされます。

• 物理インターフェイス

• サブインターフェイス（サブインターフェイス ID は、移行時に常に VLAN ID と同じ番号に設定されます）

• 集約インターフェイス（ポートチャネル）

• スタティックルート（移行されない Next VR および ECMP ルートとしてネクストホップが設定されているルートを除く）

  （注）	送信元ファイアウォール（PAN）にスタティックルートとして設定されたルートが接続されている場合、プッシュ障害が発生します。FMC では、接続済みルートのスタティックルートを作成できません。そのようなルートを削除し、移行を続行します。

（注）	リリース 2.0 以降では、Firepower 移行ツールは Check Point 設定の FTD への移行をサポートしています。移行ワークフローの一部として、次の重要なヒントに注意してください。

（注）	リリース 2.1 以降では、Firepower 移行ツールは Palo Alto Networks（PAN）ファイアウォール設定の FTD への移行をサポートしています。移行ワークフローの一部として、次の重要なヒントに注意してください。

ASA の場合

次のいずれかの方式で、移行用の ASA 設定項目を取得できます。

• 手動アップロード方式：シングルコンテキストモードでは、show run コマンドを使用して ASA 設定を取得します。マルチコンテキストモードでは、show tech コマンドを使用して ASA 設定を取得します。

• 移行ツールからの ASA への接続：マルチコンテキスト ASA では、ASA に接続した後に移行するコンテキストを選択し、ターゲット Firepower Threat Defense デバイスを選択します。最初のコンテキストの移行が完了したら、手順を繰り返して他のコンテキストを移行します。つまり、ASA に接続して移行するコンテキストを選択し、ターゲット Firepower Threat Defense デバイスを選択します。

Check Point ファイアウォールの場合

手動アップロード方式でのみ、移行用の Check Point 設定項目を取得できます。手動アップロード方式を使用して Check Point 設定を収集するには、次の手順を実行します。

• Check Point Web Visualization Tool（WVT）を使用した設定のエクスポート：コマンド プロンプト ウィンドウを開いて、WVT が保存および展開されたディレクトリに移動し、次のコマンドを実行して Check Point 設定を取得します。

  C:\Web_Visualisation_Tool> cpdb2web.exe [-s management_server] [-u admin_name | -a certificate_file] [-p password] [-o output_file_path] [-t table_names] [-c | -m gateway | -l package_names] [-gr] [-go] [-w Web_Visualization_Tool_installation_directory]

• FMT-CP-Config-Extractor_v2.1.2.4352 ツールを使用したデバイス設定のエクスポート：Check Point のセキュリティゲートウェイにアクセスできるワークステーションで、Windows の実行ファイル（.exe）である FMT-CP-Config-Extractor_v2.1.2.4352 ツールを開きます。

  この解凍ファイルを実行するには、「FMT-CP-Config-Extractor_v2.1.2.4352 ツール」を参照してください。

• エクスポートされたファイルの圧縮：8 つすべてのファイル（Web VisualizationTool（WVT）からの 7 つのファイルと、FMT-CP-Config-Extractor_v2.1.2.4352 ツールからの 1 つの .txt ファイル）を選択し、1 つの zip ファイルに圧縮します。

Firepower 移行ツールを使用して Check Point から情報を抽出する必要がある場合は、「Check Point 設定ファイルのエクスポート」に進みます。

Palo Alto Networks ファイアウォールの場合

デバイスが Panorama で管理されている場合は、ゲートウェイから設定を抽出する必要があります。Panorama 設定をゲートウェイと統合し、設定を抽出します。

詳細については、「Palo Alto Networksファイアウォールからの設定のエクスポート」を参照してください。

Firepower 移行ツールは、次の機能を提供します。

• 分析およびプッシュ操作を含む移行全体の検証

• オブジェクト再利用機能

• オブジェクト競合の解決

• インターフェイス マッピング

• インターフェイス オブジェクトの自動作成または再利用（セキュリティ ゾーンとインターフェイス グループ マッピングに対する ASA nameif）

• インターフェイス オブジェクトの自動作成または再利用

• 自動ゾーンマッピング

• ユーザ定義のセキュリティゾーンとインターフェイスグループを作成するためのサポート

• ユーザ定義のセキュリティゾーンを作成するためのサポート

• ターゲット Firepower Threat Defense デバイスのサブインターフェイス制限チェック

• サポートされているプラットフォーム

  ：仮想 ASA から仮想 FTD へ

  ：同じハードウェアでの移行（X から X デバイスへの移行）

  ：X から Y デバイスへの移行（Y に多数のインターフェイスが存在）

Firepower 移行ツールは、次のレポートを移行の詳細とともに HTML 形式で提供します。

• 移行前のレポート

• 移行後のレポート